Vos fichiers sont chez Google, Microsoft ou Amazon, dans un centre de données en France ou en Irlande. Vous avez lu « hébergé en Europe » et vous avez pensé « protégé par le droit européen ». Le CLOUD Act est la loi qui rend cette conclusion fausse.
Ce que le CLOUD Act est
Le Clarifying Lawful Overseas Use of Data Act est une loi fédérale américaine adoptée en mars 2018. Elle modifie une loi de 1986 sur les communications stockées pour lever une ambiguïté : un fournisseur américain doit-il remettre aux autorités des données qu’il stocke hors des États-Unis ?
La réponse du CLOUD Act est oui. Un fournisseur soumis à la juridiction américaine doit préserver et remettre les données qui sont en sa possession, garde ou contrôle, « quel que soit le lieu où ces données se trouvent ». Le pays du centre de données ne compte pas. Ce qui compte est la nationalité juridique de l’entreprise qui tient les clés.
Le texte a été écrit après un contentieux entre le gouvernement américain et Microsoft, qui refusait de remettre des courriels stockés en Irlande. Le Congrès a tranché en faveur du gouvernement, par la loi.
Toute entreprise soumise à la juridiction américaine : les sociétés américaines et leurs filiales, où qu’elles opèrent.
Celles que le fournisseur possède, garde ou contrôle. S’il peut les lire, il peut les remettre.
Partout. Un centre de données à Paris ou à Francfort ne change rien au raisonnement.
Ce que le CLOUD Act n’est pas
Ce n’est pas une surveillance de masse et ce n’est pas un accès libre. Une demande passe par une procédure judiciaire américaine : mandat, injonction ou ordonnance, selon la nature des données. Les grands fournisseurs publient des rapports de transparence sur le nombre de demandes reçues, et ces nombres sont modestes au regard du nombre de clients.
La loi prévoit aussi un mécanisme de contestation quand la remise violerait le droit d’un pays ayant signé un accord bilatéral avec les États-Unis. Le Royaume-Uni et l’Australie ont signé de tels accords. L’Union européenne n’en a pas signé. Une entreprise française ne bénéficie donc d’aucune passerelle de ce type.
Il faut donc être précis. Le CLOUD Act ne dit pas « les États-Unis lisent vos fichiers ». Il dit « les États-Unis peuvent exiger vos fichiers de votre fournisseur, et votre fournisseur devra obéir sans vous le dire ». Pour un dirigeant, la nuance importe peu : c’est la possibilité qui pose problème, parce qu’elle échappe à tout contrôle de votre part.
Le conflit avec le RGPD
Le RGPD interdit de transférer des données personnelles vers un pays tiers sur la seule base d’une décision d’un tribunal ou d’une autorité de ce pays, sauf accord international. C’est l’article 48. Le CLOUD Act demande précisément cela. Les deux textes se contredisent, et le fournisseur pris entre les deux choisit en pratique le droit de son pays d’origine.
Le Comité européen de la protection des données et le Contrôleur européen l’ont écrit dès 2019 dans une analyse commune : une demande fondée sur le CLOUD Act n’a en général pas de base légale en droit de l’Union, sauf à passer par les accords d’entraide judiciaire. Cette analyse n’a pas changé la loi américaine. Elle a changé la façon dont les acheteurs publics et les secteurs régulés lisent le mot « souverain ».
Ce qu’un fournisseur a fini par dire
Le 10 juin 2025, devant une commission d’enquête du Sénat français sur la commande publique, le directeur des affaires juridiques de Microsoft France a été interrogé sous serment. À la question de savoir s’il pouvait garantir que les données de citoyens français ne seraient jamais transmises aux autorités américaines sans l’accord de la France, il a répondu qu’il ne pouvait pas le garantir.
C’est la première fois qu’un grand fournisseur le disait aussi simplement, en public, à des élus. Rien de nouveau juridiquement. Tout de nouveau dans la conversation.
Cette audition a fait ce que sept ans d’articles n’avaient pas fait : elle a rendu le problème audible pour un dirigeant qui n’est pas juriste.
La réponse française : SecNumCloud, HDS, et ce qu’ils exigent
La France a répondu par des référentiels plutôt que par une loi. SecNumCloud, le visa de sécurité de l’ANSSI pour les services cloud, exige depuis sa version 3.2 que le fournisseur soit à l’abri des lois extraterritoriales de pays tiers, ce qui se traduit par des critères sur l’actionnariat et la gouvernance. Un fournisseur américain ou une filiale contrôlée depuis les États-Unis ne peut pas l’obtenir. Le référentiel HDS pour les données de santé, révisé en 2024, impose l’hébergement dans l’Espace économique européen et une information claire sur l’exposition à des droits extraterritoriaux.
Ces référentiels sont exigeants, longs à obtenir, et ils portent sur l’organisation autant que sur la technique. Kerlok ne les détient pas aujourd’hui ; notre trajectoire est publiée, sans date contractuelle.
Ce qui protège vraiment
Revenons à la définition : le CLOUD Act porte sur les données que le fournisseur possède, garde ou contrôle. Trois stratégies en découlent, et elles ne se valent pas.
Changer de fournisseur
Un hébergeur européen, détenu en Europe, n’est pas soumis au CLOUD Act. C’est nécessaire. Ce n’est pas suffisant : cet hébergeur détient vos clés et peut lire vos fichiers, sur réquisition française cette fois, par un administrateur, ou par erreur. Vous avez changé de juridiction, pas de modèle de confiance.
Apporter sa propre clé
Plusieurs offres américaines proposent au client de gérer lui-même la clé de chiffrement. Cela complique une remise de données. Mais dans la plupart de ces offres, le déchiffrement est exécuté sur les serveurs du fournisseur : la clé y transite, au moins en mémoire, pendant l’usage. Ce que le fournisseur peut techniquement faire pendant ce temps est la seule question qui compte, et la réponse est rarement écrite noir sur blanc.
Rendre la lecture impossible
Si les fichiers sont chiffrés sur votre poste, avant d’être envoyés, et que le fournisseur ne reçoit jamais la clé, alors ce qu’il possède, garde ou contrôle est illisible. Une réquisition, américaine ou française, obtient des blocs chiffrés. Le fournisseur n’a pas à choisir entre deux lois : il n’a rien à donner. C’est ce qu’on appelle le chiffrement de bout en bout à divulgation nulle, zero knowledge en anglais.
Kerlok est un espace de fichiers pour l’entreprise, hébergé en Europe par une société française, chiffré de bout en bout sur vos ordinateurs. Nous ne détenons ni vos clés, ni votre mot de passe. Une réquisition obtient de nous exactement ce que nous avons : du bruit. Nous vous le montrons en direct, octets à l’appui, pendant la conversation d’accès. Ce que nous ne protégeons pas est écrit en pleine page.
Trois questions à poser à votre fournisseur actuel
- Pouvez-vous techniquement lire mes fichiers ? Pas « le faites-vous », pas « en avez-vous le droit » : le pouvez-vous. Une réponse honnête est courte.
- Si vous recevez une demande fondée sur le CLOUD Act, m’en informerez-vous ? Dans la plupart des cas, la loi américaine l’interdit.
- Que contiendrait exactement ce que vous remettriez ? Des fichiers lisibles, ou des blocs chiffrés dont vous n’avez pas la clé ?
Les réponses à ces trois questions valent plus que n’importe quel logo de certification en pied de page. La nôtre est dans le nom de cette section : nous ne pouvons pas lire vos données.
- Texte du CLOUD Act (H.R. 4943, 115e Congrès), intégré au Consolidated Appropriations Act de 2018 : congress.gov.
- Règlement général sur la protection des données, articles 44 à 49, notamment l’article 48 : eur-lex.europa.eu.
- Comité européen de la protection des données et Contrôleur européen de la protection des données, réponse commune sur le CLOUD Act, juillet 2019 : edpb.europa.eu.
- Sénat, commission d’enquête sur la commande publique, audition de Microsoft France du 10 juin 2025 : senat.fr.
- ANSSI, référentiel SecNumCloud, version 3.2 : cyber.gouv.fr.
- CNIL, transferts de données hors de l’Union européenne : cnil.fr.